Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Qlik Sense Enterprise」の脆弱性が標的に - ランサム攻撃でも

BIツール「Qlik Sense Enterprise」における既知の脆弱性が、攻撃の標的となっていることがわかった。ランサムウェアの感染活動に悪用されているとの指摘もある。

「Qlik Sense Enterprise for Windows」において8月より9月にかけて判明した3件の脆弱性「CVE-2023-41265」「CVE-2023-41266」「CVE-2023-48365」について悪用が確認されたもの。Qlikではアドバイザリを更新し、あらためて注意を呼びかけた。

「CVE-2023-41265」は、HTTPリクエストをトネリングすることで権限の昇格が可能となる脆弱性。バックエンドサーバ上でHTTPリクエストが実行可能となる。「CVE-2023-41266」はパストラバーサルの脆弱性で、HTTPリクエストを実行できる匿名セッションを生成できるという。

同社では8月にリリースした「同August 2023 Initial Release」「同May 2023 Patch 4」「同February 2023 Patch 8」「同November 2022 Patch 11」「同August 2022 Patch 13」にてこれら脆弱性を修正した。

一方「CVE-2023-48365」は、「CVE-2023-41265」の修正が不完全であることが判明し、追加のアップデートにて修正された 「HTTPトネリング」の脆弱性。

9月にリリースした「同August 2023 Patch 2」「同May 2023 Patch 6」「同February 2023 Patch 10」「同November 2022 Patch 12」「同August 2022 Patch 14」「同May 2022 Patch 16」「同February 2022 Patch 15」「同November 2021 Patch 17」にて修正した。「同November 2023 IR」も影響を受けないとしている。

(Security NEXT - 2023/12/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

ランサムリークサイト、年間約4000件の投稿 - 身代金支払うも約2割で反古
ランサムウェア被害のイズミ、完全復旧目標は5月1日
イズミ、ランサム被害で宅配など一部サービスを停止 - 新店舗オープンを延期
サイクリングイベント申込フォームでミス、個人情報が流出 - 倉敷市
コンテスト入賞作品を撤収中に紛失、その後返還 - 鳥取県
事務連絡メールに7468人分の個人情報含む送付先一覧を誤添付 - 大阪市
受講システムで受講者の情報閲覧権限に設定ミス - ラック
行政文書ファイル1冊が所在不明、匿名通報で発覚 - 関東財務局
転職による年収アップ、「セキュリティエンジニア」がトップ
クラウド管理製品「VMware Aria Operations」に権限昇格の脆弱性